Session Token Hijacking، Infostealer Malware، و Global Session Revocation¶

کشف اینکه یک مهاجم به تازگی کلاهبرداری های رمزنگاری شده را از حساب YouTube، Instagram، Discord یا X شما ارسال کرده است، قوانین حمل و نقل را در صندوق ورودی جیمیل یا مایکروسافت 365 ایجاد کرده است، یا به کنسول ابری شرکت شما دسترسی پیدا کرده است **بدون اینکه هرگز یک کد 2FA در تلفن شما یا یک هشدار ایمیل "ورود جدید" ایجاد کند هشدار غیرقابل انکار Hi-Signature است. (Pas-the-Cookie) ناشی از Infostealer Malware. وقتی وارد وب‌سایتی می‌شوید و "من را در سیستم نگه دارید" علامت می‌زنید، سرور یک کوکی جلسه HTTP رمزگذاری شده یا توکن حامل OAuth (مانند Google's) صادر می‌کند. SID / SAPISID، مایکروسافت ESTSAUTHPERSISTENT، یا Discord's Authorization token) در پایگاه داده محلی SQLite مرورگر وب شما ذخیره می شود.

خانواده‌های بدافزار اطلاعات سرقت‌کننده کالا، از جمله Lumma Stealer، RedLine، Vidar، Raccoon، StealC، RisePro، Rhadamanthys، و Atomic macOS Stealer (AMOS)، مانند ویروس‌های سنتی روی رایانه خود منتظر نمانید. یک infostealer که اغلب به‌عنوان یک مد بازی جعلی، نصب‌کننده نرم‌افزار کرک شده، درخواست جعلی «ClickFix» PowerShell CAPTCHA، یا PDF همکاری حامی مالی پنهان می‌شود، در زیر 4 ثانیه اجرا می‌شود، Chrome، Edge، Brave یا Firefox شما را رمزگشایی می‌کند. Cookies و Login Data پایگاه‌های داده در حافظه، آنها را با فایل‌های کیف پول رمزنگاری دسکتاپ شما فشرده می‌کند، آرشیو را در یک سرور تلگرام یا C2 آپلود می‌کند و خود را حذف می‌کند. هنگامی که مهاجم کوکی های جلسه دزدیده شده شما را به یک مرورگر ضد شناسایی وارد می کند (Multilogin، Dolphin{anty}، یا Gologin)، وب سرور فکر می کند مهاجم ** کامپیوتری است که قبلاً احراز هویت شده است و رمز عبور شما و احراز هویت دو مرحله ای شما را کاملاً دور می زند.

همین الان این کار را بکن¶

1. تغییر گذرواژه‌های خود را در رایانه آلوده متوقف کنید، فوراً رایانه یا Mac را از Wi-Fi جدا کنید و کابل اترنت آن را جدا کنید. این اشتباه شماره 1 است که قربانیان مرتکب می‌شوند: متوجه می‌شوند که Discord، Steam یا Gmail آنها ربوده شده است، دقیقاً در همان رایانه رومیزی آلوده می‌نشینند و گذرواژه‌های کاملاً جدید را در Chrome تایپ می‌کنند. اگر یک بارگذار تداوم سرقت اطلاعات یا کار برنامه‌ریزی‌شده هنوز در آن دستگاه فعال باشد، بلافاصله پسوردهای جدید و کوکی‌های جلسه جدید شما را می‌گیرد و مستقیماً برای مهاجم ارسال می‌کند. 100 درصد از تغییر رمز عبور و لغو جلسات را از ** تلفن هوشمند تمیز (در داده های تلفن همراه یا Wi-Fi تمیز) یا یک لپ تاپ جداگانه و دست نخورده** انجام دهید.
2. ** بدانید که تغییر رمز عبور به تنهایی همیشه کوکی‌های جلسه دزدیده شده یا نشانه‌های بازخوانی OAuth را باطل نمی‌کند، شما باید صریحاً روی «خروج از همه جلسات» کلیک کنید و برنامه‌های OAuth شخص ثالث را لغو کنید.** در چندین پلتفرم (و دارای اسناد غیرمستند Google) MultiLogin / issueToken نقاط پایانی OAuth یا نشانه‌های جلسه طولانی مدت)، تغییر رمز عبور یا چرخش 2FA می‌تواند توکن‌های جلسه ثانویه یا نشانه‌های دسکتاپ OAuth موجود را زنده نگه دارد، مگر اینکه مراحل جلسه جهانی و لغو توکن خاص پلتفرم را در جدول زیر اجرا کنید.
3. **اگر یک پسوند نرم‌افزاری برای کیف پول رمزنگاری شده (MetaMask، Phantom، Rabby، Trust Wallet، Coinbase Wallet، Exodus، Electrum) روی رایانه آلوده نصب کرده‌اید، همین الان از یک تلفن تمیز برای تخلیه وجوه خود به یک عبارت جدید کیف پول سخت‌افزاری استفاده کنید.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn برای MetaMask) در کنار رمزهای عبور ذخیره شده مرورگر شما. حتی اگر مهاجم هنوز رمزنگاری شما را لمس نکرده باشد، فایل خزانه شما در حال حاضر در بازار تاریک نت و منتظر یک کرکر GPU آفلاین است. ما را اجرا کن تخلیه کیف پول ارز دیجیتال و سازش عبارت seed فورا راهنمایی کنید
4. «حساب‌های هویت Apex» خود (ایمیل اصلی، مدیر رمز عبور، حساب Apple/Google و SSO شرکتی) را در 10 دقیقه اول ایمن کنید. در تلفن هوشمند تمیز خود، Google / Gmail (myaccount.google.com/device-activity) و مایکروسافت (mysignins.microsoft.com) ابتدا حساب ها. تمام جلسات دسکتاپ را از سیستم خارج کنید، رمز عبور اصلی را بچرخانید، Settings > Forwarding and POP/IMAP و Filters/Rules را علامت بزنید تا قوانین مخفی ارسال ایمیل را که مهاجم برای مخفی کردن ایمیل‌های بازنشانی رمز عبور از سرویس‌های دیگر ایجاد کرده است حذف کنید، و Passkeys و دستگاه‌های Authenticator ثبت‌شده را بررسی کنید.
5. ** رجیستری ویندوز خود را بررسی کنید Run اگر اخیراً دستور CAPTCHA جعلی «ClickFix» را اجرا کرده اید، کلیدها، Task Scheduler و تاریخچه PowerShell (Win + R -> Ctrl + V).** یکی از سریعترین و سریعترین وکتورهای infostealer که امروزه در حال رشد است، یک پنجره جعلی Cloudflare یا Google CAPTCHA در یک صفحه وب است که به شما دستور می دهد * "فشار دهید Win + R، فشار دهید Ctrl + Vو فشار دهید Enter برای تأیید اینکه شما انسان هستید"* (که در سکوت یک پنهان را اجرا می کند mshta.exe یا powershell -w hidden -enc ... دستور در کلیپ بورد شما کپی شد).
6. **اگر نقض مستلزم زیرساخت‌های شرکتی یا اخاذی باشد، دیدگاه خود را حفظ کنید و از ایمنی فیزیکی محافظت کنید. هرگز به زورگیران پول ندهید. ما را ببینید اخاذی و باج گیری آنلاین راهنما، و اگر با تهدید فیزیکی مواجه شدید، با شماره اضطراری محلی خود تماس بگیرید (911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 در بریتانیا، یا به ما مراجعه کنید. شماره های اضطراری دایرکتوری).

درخت تصمیم‌گیری واکنش حادثه سرقت اطلاعات اطلاعات و کوکی جلسه¶

flowchart TD
    Root["مشکوک به ربودن کوکی جلسه یا عفونت بدافزار Infostealer"] --> IsolatePC["مرحله 1: فوراً PC/Mac آلوده را از Wi-Fi و Ethernet جدا کنید (رمزهای عبور را در رایانه آلوده تغییر ندهید)"]

    IsolatePC --> CryptoCheck{"آیا افزونه‌های کیف پول کریپتو (MetaMask، Phantom، Exodus) در آن رایانه شخصی وجود داشت؟"}
    CryptoCheck -->|"بله"| EvacCrypto["فوراً از یک کیف پول تلفن تمیز/سخت‌افزاری استفاده کنید تا تمام دارایی‌های رمزنگاری‌شده را به یک عبارت کاملاً جدید تبدیل کنید."]
    CryptoCheck -->|"خیر"| ApexLock["مرحله 2: در تلفن هوشمند تمیز، ابتدا ایمیل اصلی (Gmail، Outlook، Proton) را قفل کنید"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["مرحله 3: اجرای جلسه جهانی + رمز OAuth + لغو رمز عبور در همه حساب‌های حیاتی (به ماتریس پلتفرم زیر مراجعه کنید)"]

    GlobalRevoke --> ExportList["مرحله 4: در رایانه های شخصی آلوده آفلاین، لیست تمام رمزهای عبور مرورگر و کوکی های ذخیره شده را صادر کنید تا دقیقا بدانید کدام حساب ها به سرقت رفته اند"]

    ExportList --> CleanOS["مرحله 5: فقط از اسناد شخصی نسخه پشتیبان تهیه کنید -> انجام پاک کردن سیستم عامل پاک کردن/نصب مجدد -> ثبت مجدد رمزهای عبور و فعال کردن رمزگذاری Chrome-App-Bound"]

درک اینکه چگونه Infostealers رمزگذاری 2FA و DPAPI / Keychain را دور می زنند¶

چگونه یک برنامه 200 کیلوبایتی می تواند گذرواژه ها و کوکی های جلسه را که Google Chrome، Microsoft Edge و Brave روی هارد دیسک شما رمزگذاری می کنند، بدزدد؟

1. ** Windows DPAPI (CryptUnprotectData) و Chrome App-Bound Encryption (v20)**:
2. در ویندوز، مرورگرهای مبتنی بر Chromium (Chrome، Edge، Brave، Opera، Vivaldi) رمزهای عبور ذخیره شده شما را در داخل ذخیره می کنند. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data و کوکی های جلسه شما در داخل \Network\Cookies.
3. این پایگاه های داده SQLite با یک کلید اصلی AES-256-GCM که در %LOCALAPPDATA%\Google\Chrome\User Data\Local State، که توسط Windows Data Protection API (DPAPI) متصل به حساب کاربری ویندوز وارد شده شما محافظت می شود.
4. از آنجایی که شما infostealer را به‌عنوان کاربر واردشده ویندوز خود اجرا می‌کردید، هر فرآیندی که تحت حساب کاربری شما اجرا می‌شد می‌توانست از لحاظ تاریخی فراخوانی کند. CryptUnprotectData() از ویندوز بخواهید که کلید را رمزگشایی کند. و برای دور زدن رمزگذاری Chrome 127+ App-Bound (v20 سرویس آسانسور)، دزدهای اطلاعاتی مدرن مستقیماً به یک بی سر تزریق می کنند chrome.exe فرآیند رفع اشکال (--remote-debugging-port) یا از COM elevation استفاده کنید تا از خود Chrome بخواهید همه کوکی‌های رمزگشایی شده زنده را تخلیه کند.
5. MacOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. در Apple macOS، دزدان اطلاعاتی با لباس مبدل شدند .dmg دانلودها (اغلب از شما می خواهند که "راست کلیک کنید -> باز" یا نماد را به ترمینال بکشید تا از Apple Gatekeeper عبور کنید) یک کادر محاوره ای جعلی بومی macOS نمایش داده می شود که "System Preferences می خواهد به اطلاعات محرمانه شما دسترسی پیدا کند: رمز ورود به سیستم Mac خود را وارد کنید". به محض اینکه رمز ورود مک خود را در آن فرمان تایپ می کنید، اسکریپت باز می شود -/Library/Keychains/login.keychain-db و کوکی‌های Safari/Chrome، Apple Notes و نشانه‌های iCloud را کپی می‌کند.
7. گوگل MultiLogin / OAuthLogin بهره برداری بازسازی توکن:
8. محققان امنیتی فاش کردند که دزدهای اطلاعاتی نه تنها کوکی های وب استاندارد را می دزدند، بلکه غیرمستند نیز استخراج می کنند.oauth_token توکن های سرویس** از Chrome's Web Data (token_service جدول) فایل SQLite. حتی پس از اینکه قربانی یک بار رمز عبور گوگل خود را تغییر داد، مهاجمان قبلا می توانستند رمز سرقت شده را دوباره پخش کنند token_service توکن OAuth در برابر داخلی Google OAuthLogin نقطه پایانی به نعناع کاملاً جدید معتبر است SID کوکی‌های مرورگر، مگر اینکه کاربر صراحتاً از سیستم جلسه دستگاه Chrome به خطر افتاده خارج شود و دسترسی دستگاه شخص ثالث/OAuth را لغو کند.

مرحله 1: جلسه جهانی، کوکی، OAuth، و ماتریس لغو کلید عبور¶

با استفاده از هوشمند هوشمند یا کامپیوتر ثانویه تمیز، این جدول را از بالا به پایین پایین بیاورید. مرحله مهم: همیشه مرحله A (خروج از سیستم تمام جلسات/دستگاه‌های فعال) و مرحله B (تغییر رمز عبور) و مرحله C (ممیزی 2FA/Passkeys/OAuth/Forwarding) را با هم انجام دهید، اگر فقط رمز عبور خود را بدون پایان دادن به مرورگر تغییر دهید، می‌توانید به تماشای نشست‌های فعال tab باقی بمانید یا مرورگر را به صورت زنده مشاهده کنید. یک روش بازیابی سرکش

مرحله 2: چگونه هر حسابی را که در رایانه آلوده شما افشا شده است، پیدا کنید¶

After you have locked down your top 10 critical accounts on your clean phone, you face a daunting question: "I have used that computer for four years, how do I know which of my 250 websites had saved passwords or active cookies inside Chrome/Edge when the infostealer ran?"

While keeping the infected computer 100 percent offline (Wi-Fi OFF, Ethernet unplugged), turn it on and extract your exact exposure inventory before wiping the machine:

1. Export your Browser Saved Passwords List (CSV):
2. Open your browser offline (chrome://password-manager/settings in Chrome, edge://wallet/settings in Edge, or about:logins in Firefox) and click Export passwords to save Chrome Passwords.csv onto a clean USB flash drive.
3. Why this file is gold for your recovery: The infostealer stole this exact database. Having Chrome Passwords.csv in front of you gives you the exact checklist of every single website username and password the attacker now possesses, so you don't miss an old tax portal, airline miles account, or shopping site with a saved credit card.
4. Inspect which websites had active Session Cookies (chrome://settings/content/all):
5. In Chrome or Edge (while offline), go to chrome://settings/content/all (یا edge://settings/content/all) and sort by Data stored or Most visited. Any website where you stayed logged in without typing a password was vulnerable to session cookie theft and needs its session terminated.
6. Check if your Standalone Password Manager (1Password, Bitwarden, KeePassXC) was Unlocked at the Moment of Infection:
7. If your 1Password, Bitwarden, or KeePassXC vault was LOCKED when the infostealer ran: The malware could only grab the encrypted local vault cache (data.json یا .kdbx), which is protected by PBKDF2-SHA256 / Argon2id + your Master Password (and 34-character Secret Key in 1Password). If your Master Password is strong, your vault contents remain safe, though you should still rotate your Master Password as a precaution.
8. If your password manager browser extension was UNLOCKED in memory when the malware ran (or if you saved your Password Manager Master Password inside Chrome's built-in autofill.): Assume the infostealer dumped your vault or captured your Master Password, and rotate all critical credentials inside your vault.

Step 3: Hunting and eradicating Infostealer persistence before wiping the OS¶

Before backing up your personal documents and performing a clean OS reinstall, you can inspect how the infostealer entered your system and whether it dropped a persistent secondary loader (such as a Scheduled Task, Registry Run key, Startup .lnk shortcut, or malicious Chrome Extension):

1. Run this Offline PowerShell Persistence Audit (Windows)¶

Open PowerShell (Admin) on the offline PC and run these four read-only forensic checks:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Why a Clean OS Reinstall (via USB Media) is Recommended After an Infostealer¶

While running Microsoft Defender Offline Scan and Malwarebytes after clearing Defender exclusions removes known persistence loaders, commodity infostealers frequently bundle a secondary RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, or clipper malware (which silently monitors your Windows clipboard and swaps any copied Bitcoin/Ethereum wallet address with the hacker's address). - Once you have copied your personal documents, photos, and Chrome Passwords.csv off the offline PC, perform a clean Windows 11 USB Reinstall (or macOS Erase All Content and Settings) following our malware, ransomware, and spyware infection guide.

3. Auditing macOS and Linux Systems for Infostealer Artifacts (Atomic macOS Stealer / AMOS، Poseidon, and Malicious Browser Extensions)¶

If your infected machine is an Apple MacBook/iMac or a Linux developer workstation rather than a Windows PC, run these offline terminal checks to detect and eradicate persistence:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, and AWS IAM)¶

If the computer infected by an infostealer belonged to a software engineer, DevOps administrator, or corporate employee who had active sessions in Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, or Cloudflare, local device cleanup is only half the battle. Execute these cloud directory revocations immediately:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Clicking "Sign out" in a single browser does not always revoke Primary Refresh Tokens (PRTs) or Azure CLI (az login / .azure/msal_token_cache.bin) tokens copied from disk. An Entra Administrator must run Revoke-MgUserSignInSession -UserId user@company.com in Microsoft Graph PowerShell to reset the user's signInSessionsValidFromDateTime attribute and invalidate all Refresh Tokens across all endpoints simultaneously.
• AWS CLI & Developer Token Rotation (-/.aws/credentials، -/.npmrc، -/.pypirc، -/.kube/config): Commodity infostealers explicitly scan every user's home directory for .aws/credentials، .ssh/id_ed25519، .gitconfig، .env, and Docker/Kubernetes config files. Immediately deactivate and rotate all AWS IAM Access Keys (AKIA...) in the AWS Console, revoke GitHub Personal Access Tokens (ghp_...), and delete exposed SSH public keys from production servers (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Beyond web browsers, infostealer modules specifically copy the %APPDATA%\Telegram Desktop\tdata directory (which allows an attacker to clone your entire Telegram account onto their PC without an SMS code), %APPDATA%\Slack\storage, and saved OpenVPN (.ovpn) / WireGuard (.conf) پروفایل های VPN شرکتی. تلگرام را در تلفن خود باز کنید (تنظیمات > دستگاه ها -> پایان دادن به سایر جلسات)، از همه فضاهای کاری Slack خارج شوید (slack.com/account/settings -> از همه جلسات دیگر خارج شوید)، و از سرپرست شبکه خود بخواهید گواهی مشتری VPN شرکتی شما را لغو و مجدداً صادر کند.

پیشگیری: چگونه مرورگر و حساب‌های خود را در برابر Infostealers مقاوم کنیم¶

هنگامی که سیستم شما تمیز شد و حساب های شما بازیابی شد، این پنج دفاع را اجرا کنید تا یک infodealer دیگر هرگز نتواند زندگی دیجیتال شما را ربوده باشد:

• هرگز گذرواژه‌ها را در مدیریت رمز داخلی مرورگر وب خود (Chrome / Edge / Brave / Firefox تکمیل خودکار) بدون سخت‌افزار/کلید اصلی ذخیره نکنید: هر دزد اطلاعات کالا در زمین، کروم را هدف قرار می‌دهد. Login Data ابتدا جدول SQLite. خاموش "پیشنهاد ذخیره گذرواژه ها" را در آن روشن کنید chrome://password-manager/settings و رمزهای عبور خود را در یک مدیر رمز عبور اختصاصی و با دانش صفر (1Password، Bitwarden، Proton Pass، یا KeePassXC) ذخیره کنید که به صورت Auto-Lock بلافاصله پس از قفل شدن سیستم یا بعد از 5 دقیقه زمان بیکار پیکربندی شده است.
• ** فعال کردن "Device-Bound Session Credentials (DBSC)" & "App-Bound Encryption" در Chrome 127+**: مطمئن شوید که Google Chrome یا Edge به آخرین نسخه به روز شده و در فهرست راهنمای سیستم پیش فرض نصب شده باشد (C:\Program Files\Google\Chrome\Application) بنابراین GoogleChromeElevationService می تواند رمزگذاری کوکی را به سطوح امتیاز سیستم و کلیدهای سخت افزاری TPM از طریق Credentials Device-Bound Session (DBSC) متصل کند.
• **جعبه اجرای ویندوز را غیرفعال کنید (Win + R) یا mshta.exe برای مسدود کردن "ClickFix" حملات CAPTCHA جعلی : هرگز ** را فشار ندهیدWin + R -> Ctrl + V -> Enter هنگامی که یک وب‌سایت CAPTCHA، صفحه جعلی Cloudflare یا پاپ‌آپ «Fix Microphone / Fix Font» از شما می‌خواهد دستوری را در محاوره یا ترمینال Run خود بچسبانید، هیچ وب‌سایت قانونی روی زمین هرگز با درخواست از شما برای جای‌گذاری کد، انسانیت را تأیید نمی‌کند. Win + R یا ترمینال macOS.
• استفاده از کلیدهای امنیتی سخت افزاری (YubiKey) یا کلیدهای عبور + نیاز به احراز هویت مجدد برای اقدامات حساس: در حالی که کوکی های جلسه به سرقت رفته درخواست های ورود اولیه را دور می زنند، پلتفرم های اصلی (Google، GitHub، Cloudflare، AWS، Coinbase) یک اقدام فیزیکی را اعمال می کنند (Step-Up-Douqui authen) قبل از اینکه به هر کسی که کوکی جلسه دارد اجازه دهید رمز عبور شما را تغییر دهد، داده‌ها را صادر کند یا آدرس برداشت اضافه کند، روی YubiKey ضربه بزنید یا بیومتریک Passkey را بررسی کنید.
• بررسی کنید که آیا ایمیل یا گزارش دزدان شما در پایگاه‌های داده مانیتورینگ Darknet ظاهر شده است: مشاهده haveibeenpwned.com (که اکنون میلیون ها آدرس ایمیل قربانی دزد و دامنه های در معرض خطر را فهرست می کند) و اعلان های رایگان نقض تاریک نت را برای آدرس های ایمیل شما فعال می کند.
• دانلودهای غیرقابل اعتماد، مدهای بازی و اسکریپت های شخص ثالث را در داخل یک ماشین مجازی یا Sandbox ویندوز جدا کنید: هرگز تایید نشده اجرا نکنید .exe، .msi، .dmg، .bat، یا پایتون pip / گره npm اسکریپت های پس از نصب مستقیماً روی سیستم عامل میزبانی که جلسات مرورگر وب و لاگین های مالی تأیید شده شما را نگه می دارد. Windows Sandbox (ساخته شده در Windows 10/11 Pro و Enterprise از طریق روشن یا خاموش کردن ویژگی های Windows > Windows Sandbox) را فعال کنید یا از یک ماشین مجازی ایزوله با کوکی های مرورگر ذخیره شده صفر در هنگام آزمایش ابزارهای شخص ثالث استفاده کنید.

سوالات متداول¶

راهنماهای مرتبط¶

• آلودگی بدافزار، باج افزار و جاسوس افزار
• MFA phishing and Adversary-in-the-Middle (AiTM) bypass
• قفل MFA: نحوه بازیابی حساب های قفل شده
• حساب ایمیل هک شده، قوانین فوروارد و بازیابی
• تخلیه کیف پول رمزنگاری و به خطر افتادن عبارت seed
• قفل مدیر رمز عبور و بازیابی خزانه اضطراری
• دایرکتوری شماره های اضطراری

منابع بررسی شد¶

• آژانس امنیت سایبری و امنیت زیرساخت (CISA) و FBI (ایالات متحده): مشاوره‌های امنیت سایبری مشترک در مورد بدافزار Infostealer (LummaC2، RedLine، Rhadamanthys) و کاهش سرقت توکن/جلسه (CSAE24 / MITER ATT&CK T15405Se. کوکی جلسه وب).
• مؤسسه ملی استاندارد و فناوری (NIST) (ایالات متحده): NIST SP 800-63B: دستورالعمل های هویت دیجیتال: مدیریت جلسه، احراز هویت مجدد، و اتصال رمز.
• کنسرسیوم جهانی وب (W3C) و معماری امنیتی Google Chromium: مشخصات Device Bound Session Credentials (DBSC) و Chrome App-Bound Encryption (v20 DPAPI Elevation) مستندات فنی.
• مرکز ملی امنیت سایبری (NCSC) (بریتانیا): کاهش بدافزارها، سرقت اطلاعات، و ربودن جلسات در محیط های سازمانی و مصرف کننده.
• باز کردن پروژه امنیت جهانی برنامه (OWASP): برگ تقلب مدیریت جلسه و استانداردهای لغو توکن OAuth 2.0 (RFC 7009).